GDPR.
Zpracovávejte osobní údaje zákonně, chraňte práva a průkazně dokládejte zavedení.
- Nařízení (EU) 2016/679 · BDSG
- Autor: Derya Altinay
- Stav k: 22. 10. 2026
- Doba čtení: 8 min
Stručná odpověď.
GDPR upravuje zpracování osobních údajů v evropské působnosti. Podniky potřebují odpovídající právní základy, transparentní informace, postupy pro práva subjektů údajů a ochranná opatření přiměřená rizikům. Podle čl. 5 GDPR nesou správci odpovědnost: musí být schopni prokázat dodržování zásad. Zpracovatelé mají vlastní povinnosti a podporují správce při jejich plnění.
GDPR: ochrana osobních údajů přesahuje bezpečnost IT.
Obecné nařízení o ochraně osobních údajů je přímo použitelným právem EU na ochranu fyzických osob při zpracování jejich osobních údajů. Nařízení (EU) 2016/679 se použije od 25. května 2018; GDPR je jeho anglická zkratka. V Německu evropský rámec doplňuje zejména spolkový zákon o ochraně osobních údajů a odvětvové předpisy.
GDPR se nejprve ptá, zda a za jakým účelem je zpracování přípustné. Bezpečná databáze ještě neodpovídá na otázku, zda jsou shromažďované informace nezbytné nebo jak dlouho se smějí uchovávat. Články 5 a 6 GDPR spojují zásady a právní základy; čl. 32 se v tomto rámci týká zabezpečení zpracování.
Ochrana osobních údajů zůstává průběžným úkolem, protože se mění účely, datové toky a používané služby. Správce musí podle čl. 24 GDPR přijmout vhodná opatření, přezkoumávat jejich přiměřenost a podle potřeby je aktualizovat. Jednou vyplněný dokument toto průběžné hodnocení nenahrazuje.
Na které podniky se GDPR vztahuje.
GDPR se podle čl. 2 vztahuje na zde vymezené zpracování osobních údajů bez ohledu na velikost podniku. Patří sem například údaje zákazníků, podklady uchazečů o zaměstnání nebo osobní údaje v obsahu podpory. I pseudonymizované údaje zůstávají osobními, pokud lze člověka identifikovat pomocí dalších informací; skutečně anonymní informace se posuzují jinak.
Územní působnost vyplývá z čl. 3 GDPR. Vedle zpracování v rámci provozovny v EU mohou být zahrnuty určité nabídky osobám v EU nebo sledování jejich chování podniky mimo EU. Samotné umístění serveru nebo dostupnost webu o tom nerozhodují.
Role se určuje pro konkrétní činnost: správci rozhodují o účelech a prostředcích, zpracovatelé zpracovávají údaje na pověření. Organizace může mít podle činnosti různé role. Články 26 a 28 GDPR vyžadují odpovídající ujednání při společném správcovství nebo zpracování; samotný název smlouvy skutečnou roli nevyjasňuje.
Požadavky GDPR na podniky.
Požadavky GDPR spojují právní rozhodnutí se skutečným provozem zpracování. Sedm pracovních oblastí poskytuje orientaci; další zvláštní povinnosti závisí na roli, údajích, činnosti a rizicích pro dotčené osoby.
Stanovit zásady a právní základy.
Články 5 a 6 GDPR požadují zákonné, účelově omezené a průkazné zpracování. Omezte údaje a dobu uchování na nezbytné minimum a udržujte informace přesné. Souhlas je jedním z možných právních základů; jeho podmínky nelze opomenout stejně jako podmínky jiných právních základů.
Umožnit transparentnost a práva subjektů údajů.
Články 12 až 22 GDPR se týkají srozumitelných informací a práv, například přístupu, opravy nebo výmazu. Tato práva mají různé podmínky a výjimky. Odpovědnosti, vyhledání údajů, ověření totožnosti a bezpečná odpověď musí být sladěny; samotné zásady ochrany osobních údajů žádost nevyřídí.
Organizovat odpovědnost a poskytovatele služeb.
Články 24 až 30 GDPR upravují organizační povinnosti, záměrnou ochranu osobních údajů, role a záznamy. Zpracování podle čl. 28 vyžaduje vedle vhodného smluvního základu dostatečné záruky poskytovatele. Do hodnocení patří skutečně využívaní další zpracovatelé a datové cesty, nikoli pouze všeobecné smluvní podmínky.
Převést čl. 32 GDPR do účinných opatření.
Technická a organizační opatření musí vytvářet úroveň zabezpečení odpovídající riziku. Čl. 32 GDPR zohledňuje kontext zpracování, stav techniky, náklady a pravděpodobnost a závažnost možných dopadů na osoby. Podle rizika sem patří ochrana přístupu, šifrování, obnovitelnost a pravidelné ověřování účinnosti; pevný univerzální seznam nestačí.
Posoudit zvláštní rizika a poradenství.
Posouzení vlivu na ochranu osobních údajů podle čl. 35 GDPR je nutné před zpracováním, které pravděpodobně povede k vysokému riziku pro práva a svobody. Prověřte také podmínky pro pověřence pro ochranu osobních údajů podle čl. 37 a doplňujícího § 38 BDSG. Poradní funkce nenahrazuje odpovědnost za zpracování.
Posuzovat a hlásit porušení zabezpečení osobních údajů.
Čl. 33 GDPR v zásadě požaduje ohlášení příslušnému dozorovému úřadu, ledaže porušení pravděpodobně nepovede k riziku pro práva a svobody. Čl. 34 samostatně upravuje informování dotčených osob při pravděpodobném vysokém riziku. Zpracovatelé informují správce bez zbytečného odkladu; dokumentace incidentu zůstává samostatnou povinností.
Samostatně zabezpečit předávání do třetích zemí.
Kapitola V GDPR stanoví dodatečné požadavky na předávání do třetích zemí. Ověřte skutečné příjemce, přístupy a příslušný mechanismus předávání. Přípustné předání nenahrazuje právní základ zpracování ani ostatní povinnosti ochrany osobních údajů; ani hosting v EU nezodpovídá každou otázku externích přístupů.
Zavádění GDPR jako průběžný proces.
Vymezit zpracování a role.
Jako praktický první krok zachyťte účely, dotčené osoby, údaje, systémy a příjemce konkrétní činnosti a vyjasněte, kdo odpovídá za které rozhodnutí.
Posoudit přípustnost a informování.
Vyhodnoťte právní základy, nezbytnost a uchování a porovnejte skutečné zpracování s informacemi poskytovanými dotčeným osobám.
Posoudit rizika a zvláštní povinnosti.
Před zavedením nebo podstatnou změnou zpracování posuďte rizika pro osoby i podmínky pro posouzení vlivu, pověřence, zpracování na pověření a předávání do třetích zemí.
Zavést a ověřit opatření.
Propojte právní a organizační rozhodnutí s vhodnými technickými opatřeními a ověřte, zda v dané službě fungují například pravidla přístupu, výmaz a obnova.
Prakticky připravit práva a incidenty.
Procvičte, jak se žádosti a porušení zabezpečení rozpoznávají, eskalují, posuzují a včas vyřizují, včetně předávání mezi podnikem a poskytovateli služeb.
Průběžně aktualizovat dokumentaci při změnách.
Aktualizujte rozhodnutí a důkazy při změnách účelů, příjemců nebo rizik a určete, kdo sleduje otevřená opatření a zahajuje další přezkum.
Důkazy GDPR a dobrovolná certifikace.
Odpovědnost podle čl. 5 odst. 2 GDPR znamená schopnost vysvětlit a doložit dodržování zásad. Vhodné podklady mohou zahrnovat záznamy o činnostech zpracování, odůvodněné právní základy, smlouvy, informace o ochraně osobních údajů, posouzení vlivu a kontroly ochranných opatření. Rozhodující je, zda odrážejí reálné zpracování a ukazují, které rozhodnutí bylo přijato na jakém základě.
Dozorové úřady mají vyšetřovací a nápravné pravomoci podle čl. 58 GDPR. Dokumentace by proto měla být dohledatelná, srozumitelná a aktuální. Nařízení nezakládá obecnou povinnost certifikace, kterou by podnik mohl svou práci na ochraně osobních údajů definitivně vyřídit; odpovědnost zůstává správci a příslušným povinným účastníkům.
Certifikace podle čl. 42 GDPR je dobrovolná a vztahuje se na operace zpracování podle schválených kritérií. Podle odst. 4 nesnižuje zákonnou odpovědnost; odst. 7 omezuje její platnost na nejvýše tři roky s možností prodloužení. Certifikát bezpečnosti informací není automaticky takovou certifikací ochrany osobních údajů.
Rozhodnutí ohlásit porušení zabezpečení osobních údajů je třeba doložit samostatně. Čl. 33 stanoví ohlášení bez zbytečného odkladu, pokud možno do 72 hodin od zjištění, pokud se neuplatní výjimka na základě rizika. Dokumentace podle odst. 5 zahrnuje i neohlášená porušení; informování podle čl. 34 se řídí vlastní hranicí rizika a tam stanovenými výjimkami.
Další čtení na blogu.
- GDPR a bezpečnostPropojte zpracování, právní hodnocení a ochranná opatření v provozu.
- Posouzení zpracování na pověřeníPorovnejte smluvní závazky se skutečnými datovými cestami poskytovatele.
- Hlášení porušení zabezpečení osobních údajůPodrobněji připravte hodnocení incidentu, rozhodnutí o hlášení a dokumentaci.
- Vyřizování žádostí o přístupUspořádejte vyhledání, ověření a bezpečné předání odpovědi na žádost o přístup.
GDPR a další rámce.
ISO 27001 podporuje organizaci bezpečnosti informací, nenahrazuje však posouzení právních základů a práv subjektů údajů. NIS2 má vlastní adresáty a ohlašovací povinnosti; incident může vyžadovat samostatné hodnocení podle obou právních rámců. EU AI Act doplňuje požadavky na určité systémy AI, aniž by nahrazoval posouzení ochrany osobních údajů při zpracování.
V Secani.
Secani nabízí profil ochrany osobních údajů pro role, kontext zpracování a předávání a redakční kontrolní katalog GDPR. Profil zachycuje údaje podniku a podporuje strukturovanou inventarizaci. Odborné posouzení skutečného zpracování a jeho zákonnosti zůstává samostatným úkolem; profil není úředním schválením ani automatickým právním posouzením.
Další krok.
Začněte jasně vymezeným zpracováním, například vyřizováním požadavků na podporu. Popište účel, údaje, dotčené osoby, zapojené služby a příjemce a spolu s příslušnými odborníky posuďte vhodný právní základ. Poté zaznamenejte, jaká ochranná opatření a postupy pro práva a incidenty jsou skutečně potřebné.
Zdroje.
- Nařízení (EU) 2016/679: obecné nařízení o ochraně osobních údajů
- BfDI: GDPR – BDSG, informace 1, stav k březnu 2026
- Evropská komise: působnost a role GDPR
- Evropská komise: zásady zpracování
- Evropská komise: povinnosti podniků
- EDPB: zabezpečení osobních údajů
- EDPB: porušení zabezpečení osobních údajů
- EDPB: práva subjektů údajů
- § 38 BDSG: pověřenci pro ochranu osobních údajů neveřejných subjektů
Časté dotazy.
Ne. Čl. 6 GDPR zná různé právní základy s vlastními podmínkami. Použitelný základ závisí na konkrétním účelu a okolnostech; další požadavky, například pro zvláštní kategorie údajů, je třeba posoudit samostatně.
Ne. Ohlášení dozorovému úřadu může podle čl. 33 GDPR odpadnout, pokud porušení pravděpodobně nepovede k riziku pro práva a svobody. Porušení je přesto třeba dokumentovat; informování dotčených osob podle čl. 34 se posuzuje odděleně.
Ne. ISMS může podpořit zabezpečení zpracování, automaticky však neodpovídá na otázky právního základu, transparentnosti nebo práv subjektů údajů. Jeho rozsah a skutečné zpracování je třeba posoudit samostatně.
Ano, pokud jejich zpracování spadá do věcné a územní působnosti. Samotná velikost podniku nevytváří obecnou výjimku; jednotlivé povinnosti závisejí na dalších podmínkách.
Organizujte ochranu osobních údajů dohledatelně.
Seznamte se s profilem ochrany osobních údajů a redakčním katalogem GDPR v Secani.
Tato stránka poskytuje obecné vysvětlení a nenahrazuje právní posouzení jednotlivého případu. Rozhodující jsou platné právní předpisy a konkrétní zpracování.